NIS-2 FAQ.

NIS-2 ist die EU-Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie löst die NIS-Richtlinie von 2016 ab und erweitert den Anwendungsbereich der verpflichtenden Cybersicherheitsanforderungen, Meldepflichten und Aufsicht erheblich.

Die Richtlinie ist am 16. Januar 2023 in Kraft getreten. Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, sie in nationales Recht umzusetzen. Deutschland hat diese Frist um mehr als ein Jahr verfehlt.

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist das deutsche Umsetzungsgesetz für NIS-2. Es überarbeitet das BSI-Gesetz (BSIG) und schafft zwei neue Kategorien regulierter Einrichtungen, die den bisherigen KRITIS-Geltungsbereich ablösen.

Eckdaten: Bundestag am 13. November 2025, Bundesrat am 20. November 2025, Veröffentlichung im Bundesgesetzblatt am 5. Dezember 2025, in Kraft seit dem 6. Dezember 2025. Eine Übergangsfrist gibt es nicht.

Drei Unterschiede sind entscheidend:

• Geltungsbereich. NIS-1 erfasste rund 2.000 KRITIS-Betreiber in Deutschland. NIS-2 umfasst ca. 29.500 Einrichtungen in 18 Sektoren.
• Selbsteinstufung. Unter NIS-2 müssen Unternehmen selbst prüfen, ob sie unter den Geltungsbereich fallen. Eine Benachrichtigung durch die Behörde erfolgt nicht.
• Persönliche Haftung der Geschäftsleitung. Das neue BSIG verpflichtet die Geschäftsleitung persönlich zur Billigung und Überwachung der Risikomanagement-Maßnahmen.

Die Kommission begründete NIS-2 mit drei strukturellen Argumenten: dem massiven Anstieg von Anzahl und Komplexität der Angriffe seit 2016, der hohen grenzüberschreitenden Abhängigkeit in kritischen Sektoren und der uneinheitlichen Umsetzung von NIS-1 in den Mitgliedstaaten. NIS-2 hebt das Schutzniveau an und harmonisiert Mindestmaßnahmen, Meldefristen und Aufsichtsbefugnisse.

NIS-2 ist eine Richtlinie, keine Verordnung. Sie bindet die Mitgliedstaaten an ein Ergebnis, überlässt aber Form und Methode der Umsetzung dem nationalen Recht. Deshalb hat jedes Land sein eigenes Umsetzungsgesetz (Deutschland: NIS2UmsuCG; Österreich: NISG 2024; Niederlande: Cyberbeveiligingswet). Inhaltlich ähnlich, im Detail unterschiedlich.

Eine Einrichtung fällt in den Geltungsbereich, wenn sie in einem der 18 gelisteten Sektoren tätig ist und Größenschwellen überschreitet. Das neue BSIG unterscheidet zwei Kategorien:

• Besonders wichtige Einrichtungen (bwE): Einrichtungen in 11 Sektoren von hoher Kritikalität, in der Regel ab 250 Beschäftigten oder mehr als 50 Mio. EUR Umsatz und mehr als 43 Mio. EUR Bilanzsumme.
• Wichtige Einrichtungen (wE): Einrichtungen in weiteren kritischen Sektoren, in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. EUR Umsatz und mehr als 10 Mio. EUR Bilanzsumme.

Bestimmte Einrichtungstypen sind unabhängig von der Größe betroffen (z. B. Anbieter öffentlicher elektronischer Kommunikationsnetze, Vertrauensdiensteanbieter, TLD-Namensregister, bestimmte Stellen der Bundesverwaltung).

Eine besonders wichtige Einrichtung ist in einem der Sektoren von hoher Kritikalität nach Anhang I der NIS-2 tätig: Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung, Weltraum.

Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI: regelmäßige Audits, gezielte Prüfungen, Vor-Ort-Inspektionen. Bußgelder bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist.

Eine wichtige Einrichtung ist in einem der sonstigen kritischen Sektoren nach Anhang II der NIS-2 tätig: Post- und Kurierdienste, Abfallwirtschaft, Herstellung/Produktion/Vertrieb von Chemikalien, Produktion/Verarbeitung/Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (Maschinenbau, Fahrzeuge, elektronische Ausrüstung, Medizinprodukte), digitale Anbieter (Suchmaschinen, soziale Plattformen, Online-Marktplätze), Forschung.

Wichtige Einrichtungen unterliegen einer reaktiven Aufsicht: Das BSI ermittelt bei Hinweisen auf Verstöße. Bußgelder bis zu 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist.

Die 18 Sektoren teilen sich auf Anhang I (besonders wichtig) und Anhang II (wichtig) auf:

Anhang I (bwE): Energie (Strom, Fernwärme/-kälte, Erdöl, Erdgas, Wasserstoff), Verkehr (Luft, Schiene, Wasser, Straße), Banken, Finanzmarktinfrastrukturen, Gesundheit (Versorger, EU-Referenzlabore, Erforschung und Herstellung von Arzneimitteln, Herstellung in der Pandemie kritischer Medizinprodukte), Trinkwasser, Abwasser, Digitale Infrastruktur (IXP, DNS, TLD, Cloud, Rechenzentren, CDN, Vertrauensdienste, elektronische Kommunikation), Verwaltung von IKT-Diensten (managed services, managed security services), öffentliche Verwaltung (Bund und Länder), Weltraum.

Anhang II (wE): Post- und Kurierdienste, Abfallwirtschaft, Herstellung/Produktion/Vertrieb von Chemikalien, Produktion/Verarbeitung/Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (Medizinprodukte, Datenverarbeitungs-/elektronische/optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftfahrzeugbau, sonstiger Fahrzeugbau), digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke), Forschungseinrichtungen.

Nutzen Sie die BSI-Betroffenheitsprüfung unter betroffenheitspruefung.bsi.bund.de als offizielles Werkzeug. Die Prüfung fragt Sektor, Größe und Unternehmensstruktur ab und liefert eine verbindliche Einstufung.

Die IHK bietet zusätzlich Entscheidungsbäume. Bei Grenzfällen, insbesondere bei Unternehmen mit mehreren Geschäftsfeldern oder komplexen Konzernstrukturen, ist eine unabhängige rechtliche Prüfung empfehlenswert.

NIS-2 gilt auf Ebene der einzelnen juristischen Person, nicht des Konzerns. Jede Tochtergesellschaft muss eigenständig gegen Größen- und Sektorkriterien geprüft werden. Eine Holding kann außerhalb des Geltungsbereichs liegen, während Töchter betroffen sind, oder umgekehrt.

Die Größenschwellen werden allerdings unter Berücksichtigung der EU-KMU-Definition (Empfehlung 2003/361/EG) angewendet, die verbundene und Partnerunternehmen einbezieht. Eine kleine Tochter eines großen Konzerns gilt für die Schwellenwertbetrachtung als großes Unternehmen.

Ja, in zwei Fällen:

• Wenn die Einrichtung in der EU Dienste anbietet, auch ohne EU-Niederlassung. In diesem Fall muss sie einen Vertreter benennen, der in einem der Mitgliedstaaten ansässig ist, in denen Dienste angeboten werden.
• Wenn die Einrichtung eine EU-Niederlassung hat, fällt diese unter das Recht des Mitgliedstaats, in dem sie ansässig ist.

Für bestimmte digitale Infrastruktur-Anbieter (DNS, TLD-Registries, Cloud, Rechenzentren, CDN, Online-Marktplätze, Suchmaschinen, soziale Plattformen) bestimmen die Regeln zur Hauptniederlassung die Zuständigkeit.

Ja, ziemlich sicher, über die Lieferketten-Pflichten Ihrer Kunden. Besonders wichtige und wichtige Einrichtungen müssen Cybersicherheitsrisiken in ihrer Lieferkette bewerten und managen, einschließlich der Beziehungen zu direkten Lieferanten und Dienstleistern.

In der Praxis bedeutet das: Wenn einer Ihrer B2B-Kunden unter NIS-2 fällt, werden Sie Lieferanten-Fragebogen, vertragliche Sicherheitsanforderungen, Audit-Klauseln und Vorfallmeldepflichten erhalten, die an Sie weitergereicht werden. Diese indirekte Wirkung reicht tief in den Mittelstand.

Das BSI-Registrierungsportal wurde am 6. Januar 2026 freigeschaltet. Die Frist zur Registrierung lief am 6. März 2026 ab. Stand Juni 2026 ist diese Frist abgelaufen.

Für Einrichtungen, die nach diesem Datum erstmals unter NIS-2 fallen (z. B. weil sie eine Größenschwelle überschreiten oder einen erfassten Sektor betreten), gilt eine Registrierungsfrist von drei Monaten ab Beginn der Betroffenheit.

Zweistufiges Verfahren:

1. Schritt 1: Mein Unternehmenskonto (MUK). Anlegen eines Organisationskontos unter mein-unternehmenskonto.de. Das ist die zentrale digitale Identität des Bundes für Unternehmen und wird für viele E-Government-Dienste wiederverwendet.
2. Schritt 2: BSI-Portal. Anmeldung im BSI-Portal mit der MUK-Identität und Ausfüllen des NIS-2-Registrierungsformulars: juristische Person, Sektoreinstufung (bwE oder wE), Niederlassungsdaten, Kontaktpunkte für Vorfälle.

Mit der Registrierung wird die Einrichtung dem BSI bestätigt. Sie löst die operativen Pflichten aus: Vorfallmeldung über das Portal, mögliche Audit-Aufforderungen, Zugang zu BSI-Lageinformationen.

Die unterlassene Registrierung ist selbst ein Verstoß gegen das BSIG. Bußgelder für Registrierungsverstöße fallen unter das allgemeine Sanktionsregime: bis 10 Mio. EUR oder 2 % des weltweiten Umsatzes für bwE, bis 7 Mio. EUR oder 1,4 % für wE. Die persönliche Haftung der Geschäftsleitung greift ebenfalls.

Praktische Empfehlung: schnellstmöglich registrieren. Eine späte Registrierung beseitigt den Verstoß nicht rückwirkend, begrenzt aber das Risiko und signalisiert kooperatives Verhalten - das BSI wird das in jeder Vollstreckungsentscheidung berücksichtigen.

Nein. NIS-2 basiert auf verpflichtender Selbsteinstufung. Das BSI führt keine Liste betroffener Einrichtungen und versendet keine Benachrichtigungen. Die Pflicht zur Selbstprüfung, Registrierung und Compliance liegt vollständig beim Unternehmen.

Das BSI kann allerdings eine Betroffenheit per Anordnung feststellen, wenn ihm Hinweise auf Verstöße gegen die Registrierungspflicht vorliegen.

Artikel 21 Absatz 2 NIS-2 listet zehn Maßnahmenbereiche, die wortgleich in § 30 BSIG umgesetzt sind. Alle zehn müssen sowohl bwE als auch wE adressieren, unter Anwendung des "Stands der Technik" und risikobasierter Verhältnismäßigkeit:

1. Risikoanalyse- und Informationssicherheitsstrategien.
2. Bewältigung von Sicherheitsvorfällen.
3. Aufrechterhaltung des Betriebs, z. B. Backup-Management, Wiederherstellung nach Notfällen, Krisenmanagement.
4. Sicherheit der Lieferkette, einschließlich sicherheitsrelevanter Aspekte der Beziehungen zu direkten Lieferanten und Dienstleistern.
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Schwachstellenmanagement und -offenlegung.
6. Strategien und Verfahren zur Bewertung der Wirksamkeit der Risikomanagement-Maßnahmen.
7. Grundlegende Verfahren der Cyberhygiene und Cybersicherheitsschulungen.
8. Strategien und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung.
9. Sicherheit des Personalbestands, Zugangskontrollkonzepte und Verwaltung von Anlagen.
10. Einsatz von Multi-Faktor-Authentisierung oder kontinuierlichen Authentifizierungslösungen, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme.

Nicht als gesetzliche Pflicht. Das BSIG schreibt kein spezifisches Framework und keine Zertifizierung vor. Ein operatives ISMS ist jedoch der effizienteste Weg, um die zehn Maßnahmenbereiche nachweisbar umzusetzen.

In der Praxis sind drei Frameworks üblich:

• ISO/IEC 27001 (mit Anhang A). Die internationale Referenz. Zertifizierung ist freiwillig, aber die Dokumentation lässt sich sauber auf § 30 BSIG abbilden.
• BSI IT-Grundschutz. Das deutsche Bundes-Baseline-Framework. Besonders verbreitet in öffentlichkeitsnahen Einrichtungen. Höherer Dokumentationsaufwand als ISO 27001, aber explizit auf BSI-Erwartungen ausgerichtet.
• NIST Cybersecurity Framework 2.0. In Deutschland weniger verbreitet, in multinationalen Kontexten gebraucht.

Cortavion-Position: Für einen neu betroffenen Mittelständler ist ein schlankes, ISO-27001-orientiertes ISMS in der Regel der schnellste Weg zu nachweisbarer Compliance.

IT-Grundschutz ist der eigene Kontrollkatalog des BSI, gegliedert in Bausteine nach Thema. Er ist für NIS-2 nicht verpflichtend, aber er ist die Referenz, die das BSI selbst verwendet - das macht ihn in Aufsichtsgesprächen einflussreich.

Für die meisten nicht-öffentlichen Einrichtungen ist eine schlankere ISO-27001-Umsetzung effizienter. IT-Grundschutz bleibt die natürliche Wahl für Bundesbehörden, Landeseinrichtungen und Betreiber mit starkem Bezug zur öffentlichen Hand.

Bei der Umsetzung der Lieferketten-Sicherheit müssen betroffene Einrichtungen berücksichtigen:

• Die spezifischen Schwachstellen jedes direkten Lieferanten und Dienstleisters.
• Die Gesamtqualität der Produkte und die Cybersicherheitspraktiken der Lieferanten, einschließlich sicherer Entwicklungsverfahren.
• Ergebnisse koordinierter Risikoanalysen kritischer Lieferketten auf EU-Ebene.

Operativ bedeutet das: Lieferanten-Fragebogen, vertragliche Sicherheitsklauseln, Audit-Recht, Meldeklauseln, laufende Beobachtung der Sicherheitslage der Lieferanten. Cortavion-Beobachtung: Die meisten NIS-2-Einrichtungen unterschätzen den Aufwand hier.

Das BSIG schreibt keine spezifische Rollenbezeichnung vor. Es verpflichtet die Geschäftsleitung jedoch zur Billigung und Überwachung der Risikomanagement-Maßnahmen. In der Praxis wird diese Verantwortung operativ fast immer an einen CISO, Informationssicherheitsbeauftragten (ISB) oder IT-Sicherheitsbeauftragten (ITSB) delegiert.

Die Funktion muss keine interne Vollzeitrolle sein. Viele Mittelständler nutzen ein CISO-as-a-Service-Modell extern. Entscheidend ist, dass die Rolle klar definiert ist, angemessene Befugnisse hat und in geeigneter Frequenz an die Geschäftsleitung berichtet.

Zwei getrennte Pflichten:

• Management-Schulung. Die Geschäftsleitung von bwE und wE muss Schulungen zur Cybersicherheit absolvieren und soll vergleichbare Schulungen regelmäßig dem Personal anbieten. Verpflichtend für die Geschäftsleitung und oft die am häufigsten übersehene NIS-2-Anforderung.
• Cyberhygiene des Personals. Grundlegende Cyberhygiene und Cybersicherheitsschulungen sind einer der zehn Maßnahmenbereiche nach § 30 BSIG. In der Umsetzung typisch: jährliche Pflichtschulung, Phishing-Simulationen, Onboarding-Module.

Der "Stand der Technik" ist eine bewegliche Größe. Das BSI bezieht sich in § 30 BSIG explizit darauf und wendet ihn in der Kombination an aus:

• Etablierten Baselines wie ISO 27001, IT-Grundschutz und CIS Critical Security Controls.
• Sektorspezifischen Leitfäden (Energie, Finanzen, Gesundheit haben jeweils zusätzliche Referenzen).
• BSI-Veröffentlichungen zu spezifischen Themen (z. B. Cloud-Sicherheit, Lieferkettensicherheit).

Der TeleTrust Verband veröffentlicht jährlich ein "Stand der Technik"-Handbuch, das in Deutschland als praktische Referenz weit verbreitet ist.

Das BSIG schreibt keine spezifische Aufbewahrungsfrist vor. Als defensive Basis:

• Mindestens 7 Jahre: ISMS-Dokumentation, Risikobewertungen, Audit-Berichte, Management-Billigung der Cybersicherheitsstrategie, Vorfallaufzeichnungen, Lieferanten-Sicherheitsbewertungen.
• Mindestens 3 Jahre: Schulungsnachweise, Zugriffsüberprüfungen, Schwachstellenscan-Ergebnisse, Change-Records.
• Unbefristet: regulatorische Eingaben beim BSI (Registrierungen, Vorfallmeldungen, Audit-Feststellungen).

Eine Ausrichtung an den GoBD-Aufbewahrungsfristen für steuerrelevante Unterlagen vereinfacht die Dokumentationsarchitektur.

Sie müssen einen "erheblichen" Cybersicherheitsvorfall melden. Die Meldung erfolgt in drei Schritten, beginnend mit dem Zeitpunkt der Kenntnis des Vorfalls:

1. Innerhalb von 24 Stunden: Frühwarnung mit Angabe, ob der Vorfall vermutlich durch böswillige Handlungen verursacht wurde oder grenzüberschreitende Auswirkungen haben könnte.
2. Innerhalb von 72 Stunden: Vorfallmeldung mit erster Bewertung von Vorfall, Schwere, Auswirkungen und (falls verfügbar) Indikatoren der Kompromittierung.
3. Innerhalb eines Monats: Abschlussbericht mit detaillierter Beschreibung des Vorfalls, der Bedrohungsart, der ergriffenen Maßnahmen und etwaiger grenzüberschreitender Auswirkungen.

Zwischenmeldungen kann das BSI jederzeit während der Vorfallbearbeitung anfordern.

Ein Vorfall ist "erheblich", wenn er mindestens eines der beiden Kriterien aus Artikel 23 Absatz 3 NIS-2 erfüllt:

• Er hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betroffene Einrichtung verursacht oder kann diese verursachen.
• Er hat oder kann andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigen.

Die EU hat eine Durchführungsverordnung erlassen (Durchführungsverordnung (EU) 2024/2690) mit quantitativen Schwellenwerten für bestimmte Sektoren. Für nicht gelistete Sektoren ist die Bewertung qualitativ.

Das BSI ist die zentrale Meldestelle. Meldungen erfolgen über das BSI-Portal, das am 6. Januar 2026 freigeschaltet wurde (dasselbe Portal wie für die Registrierung).

Je nach Vorfalltyp können parallele Meldepflichten greifen: BfV (bei Verdacht auf staatlich gesteuerte Aktivitäten), Datenschutzaufsicht (bei personenbezogenen Datenpannen nach DSGVO), BaFin (bei Finanzeinrichtungen), Kunden/Nutzer in einigen Sektoren. Cortavion-Empfehlung: Erstellen Sie ein einheitliches Vorfall-Playbook, das jeder Meldepflicht einen benannten Verantwortlichen zuweist.

In bestimmten Fällen ja. Das BSI kann die Einrichtung anweisen, Nutzer zu informieren, deren Dienste von einer erheblichen Cyberbedrohung oder einem Vorfall betroffen sein können. Zusätzlich können für einige Sektoren (elektronische Kommunikation, Vertrauensdienste, digitale Infrastruktur-Anbieter) direkte Nutzerinformationspflichten automatisch ausgelöst werden.

Unabhängig von NIS-2 können vertragliche Verpflichtungen gegenüber Kunden ebenfalls Informationspflichten auslösen. Lieferantenverträge auf Vorfall-Klauseln prüfen.

Ja. § 38 des neuen BSIG verpflichtet die Geschäftsleitung von bwE und wE persönlich zur Billigung und Überwachung der Umsetzung der Cybersicherheits-Risikomanagement-Maßnahmen.

Konkret bedeutet das:

• Die Geschäftsleitung muss die Risikomanagement-Maßnahmen in formaler, dokumentierter Weise billigen.
• Die Geschäftsleitung muss deren Umsetzung überwachen.
• Die Geschäftsleitung muss verpflichtende Cybersicherheitsschulungen absolvieren.
• Sind die Maßnahmen nicht angemessen und entsteht durch einen Vorfall Schaden, können Mitglieder der Geschäftsleitung gegenüber der Gesellschaft persönlich für Pflichtverletzung haften.

Für besonders wichtige Einrichtungen: Bußgelder bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes des vorausgegangenen Geschäftsjahres, je nachdem, welcher Wert höher ist.

Für wichtige Einrichtungen: Bußgelder bis zu 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist.

Diese Höchstgrenzen gelten für Verstöße gegen die Risikomanagement-Pflichten (§ 30 BSIG) und Meldepflichten. Geringere Ordnungswidrigkeiten unterliegen niedrigeren Bußgeldobergrenzen.

Das BSI kann:

• Vor-Ort-Inspektionen und Audits anordnen, mit dem Recht auf Zugang zu Gebäuden, Systemen und Unterlagen.
• Ad-hoc-Sicherheitsaudits durch unabhängige Dritte anordnen.
• Offenlegung von Risikobewertungsergebnissen und Belegen anordnen.
• Verbindliche Auflagen zur Mängelbeseitigung mit Fristsetzung erteilen.
• Nur für bwE: Personen vorübergehend von Leitungsfunktionen ausschließen oder der Einrichtung die Erbringung von Diensten vorübergehend untersagen, wenn andere Maßnahmen ausgeschöpft sind.

Die letzten beiden Befugnisse (Leitungssuspendierung und Dienste-Untersagung) sind in der deutschen Cyberregulierung beispiellos und signalisieren eine erhebliche Eskalation.

Das persönliche Haftungsregime nach § 38 BSIG erhöht das D&O-Risiko materiell. Praktische Implikationen:

• Versicherer verschärfen das Underwriting für NIS-2-betroffene Einrichtungen. Erwartbar: Cybersicherheits-Fragebogen, Ausschlussklauseln bei Non-Compliance, mögliche Prämienerhöhungen.
• Bestehende D&O-Policen sollten auf die genaue Deckung von Bußgeldern, Verteidigungskosten und aktionärsgetriebenen Klagen mit Bezug zu Cybersicherheitsversäumnissen geprüft werden.
• Die formale Billigung der Risikomanagement-Maßnahmen ist gut beraten, über Vorstands-/Geschäftsführungsbeschlüsse mit Versionierung zu dokumentieren. Diese Dokumentation ist die primäre Verteidigung in jeder späteren Anspruchssituation.

Cortavion-Beobachtung: Das ist kein Thema für "später mit der Rechtsabteilung". Das Fenster zwischen "Vorfall" und "Anspruch" ist eng.

Eine pragmatische Sequenz, ausgehend von Null:

1. Woche 1-2: Geltungsbereich bestätigen. BSI-Betroffenheitsprüfung durchführen. Ergebnis dokumentieren.
2. Woche 3-4: Beim BSI registrieren (falls noch nicht geschehen). Kontaktpunkte für Vorfälle benennen.
3. Monat 2: Gap-Assessment. Aktuelle Sicherheitskontrollen gegen § 30 BSIG abgleichen. Ein beratungsgeführtes Gap-Assessment dauert typischerweise 3-4 Wochen für einen Mittelständler.
4. Monat 3-4: Quick Wins. Zuerst die am leichtesten ausnutzbaren Lücken schließen: MFA, EDR, Backup-Verifikation, Asset-Inventar, einfaches Incident-Response-Playbook.
5. Monat 4-9: ISMS-Aufbau. Formales Informationssicherheits-Managementsystem aufbauen. Richtlinien dokumentieren, erste Risikoanalyse durchführen, Geschäftsleitung briefen.
6. Ab Monat 6: Lieferkette. Lieferanten-Sicherheitsbewertungen und Vertragsanpassungen ausrollen. Auch für mittelgroße Lieferantenbasen ein 12-18-Monats-Programm.

Quick-Win-zuerst ist kritisch. Die meisten neu betroffenen Einrichtungen unterschätzen den Vorlauf und investieren zu früh in Dokumentation, bevor die operativen Kontrollen stehen.

Stark abhängig vom Ausgangspunkt und der Komplexität. Grobe Bandbreite für einen Mittelständler (200-500 Mitarbeiter, mittlere IT-Reife, eine Jurisdiktion):

• Jahr 1 Aufbau: 80.000 bis 350.000 EUR (Beratung, Tooling, Schulung, Registrierung). Sehr variabel.
• Jährlicher Run-Rate: 60.000 bis 200.000 EUR (Managed Services, laufende Audits, Tooling-Lizenzen, interne CISO-Funktion).

Kostentreiber nach oben: heterogene IT-Landschaft, große Lieferantenbasis, mehrere juristische Personen, regulierte Sektoren mit zusätzlichen sektoralen Anforderungen (z. B. Gesundheit, Energie).

Kostentreiber nach unten: Cloud-first-Architektur, bestehendes ISO 27001, fokussierte Lieferantenbasis, eine juristische Person.

Bußgelder für Non-Compliance beginnen oberhalb dieser Bandbreite. Die ROI-Rechnung ist meist eindeutig.

• Auf eine Benachrichtigung durch das BSI warten. Das BSI benachrichtigt nicht. Selbsteinstufung ist Pflicht.
• NIS-2 als reines IT-Projekt behandeln. Die persönliche Haftung macht es zum Vorstandsthema. Ohne Ownership der Geschäftsleitung stockt das Projekt.
• Tools vor Prozessen kaufen. Tools ohne Prozesse erzeugen Audit-Befunde statt Risikoreduktion.
• Die Lieferkette ignorieren. Lieferanten-Sicherheit ist einer der zehn Maßnahmenbereiche, wird aber oft auf Jahr 2 oder 3 verschoben. Kunden im Geltungsbereich stellen schon in Jahr 1 Fragen.
• Management-Billigung unzureichend dokumentieren. Der formale Geschäftsleitungsbeschluss zur Cybersicherheitsstrategie ist das wichtigste Einzeldokument. Viele Einrichtungen haben die Substanz, aber nicht den formalen Beschluss.
• Zertifizierung mit Compliance verwechseln. Eine ISO-27001-Zertifizierung hilft, ist aber nicht gleichbedeutend mit NIS-2-Compliance. Die Gültigkeitsbereiche überlappen sich, sind aber nicht identisch.

Das BSIG schreibt keine konkrete Audit-Frequenz vor. In der Praxis:

• Besonders wichtige Einrichtungen (bwE): Erwartbar ist proaktive BSI-Aufsicht. Das BSI kann Audits ansetzen, Nachweispakete anfordern oder Vor-Ort-Inspektionen durchführen. Mindestens einen jährlichen internen Vollreview einplanen.
• Wichtige Einrichtungen (wE): Reaktive Aufsicht. Audits werden typischerweise durch Vorfallmeldungen oder Beschwerden Dritter ausgelöst. Jährliche interne Reviews bleiben die operative Basis.
• Bei ISO-27001-Zertifizierung: Die normeigenen Surveillance-Audits (jährlich) und Re-Zertifizierungen (alle drei Jahre) definieren die Audit-Frequenz.

Unabhängig von formalen Audits sollten Einrichtungen mindestens jährlich eine interne Managementbewertung des ISMS durchführen, mit dokumentierten Feststellungen und Follow-up-Maßnahmen.

Sie können Umsetzung, Monitoring und Betrieb auslagern. Die rechtliche Verantwortlichkeit können Sie nicht auslagern. Die Geschäftsleitung bleibt verantwortlich, unabhängig davon, welche Funktionen delegiert werden.

Allerdings kann ein MSP oder Managed SOC den größten Teil der operativen Substanz liefern: Detection, Response, Schwachstellenmanagement, Lieferanten-Monitoring, Nachweissammlung, Audit-Unterstützung. Die interne Funktion reduziert sich dann auf Governance, Aufsicht und Lieferanten-Steuerung des MSP.

Wenn Sie diesen Weg gehen, muss der MSP-Vertrag enthalten: expliziter Cybersicherheits-Scope, Audit-Recht, Vorfallmeldepflichten, Offenlegung von Unter-Auftragsverarbeitern, Exit-Unterstützung und klare Zuordnung der Verantwortlichkeiten zu jedem der zehn Maßnahmenbereiche nach § 30 BSIG.

DORA (Verordnung (EU) 2022/2554, Digital Operational Resilience Act) ist die finanzsektorspezifische Cybersicherheitsregulierung. Sie gilt für Banken, Versicherer, Wertpapierfirmen und deren kritische IKT-Drittparteien. Wo DORA gilt, hat sie als lex specialis für den Finanzsektor in der Regel Vorrang vor NIS-2.

In der Praxis: Eine Bank fällt in den Geltungsbereich von NIS-2 (als besonders wichtige Einrichtung im Bankensektor), folgt aber dem detaillierteren DORA-Regime für ihre Kernpflichten. Die beiden sind kompatibel ausgelegt, aber die operative Umsetzung ist sektorspezifisch.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist eine produktbezogene Regulierung: Sie gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden. NIS-2 ist eine einrichtungsbezogene Regulierung: Sie gilt für den Betrieb von Einrichtungen in bestimmten Sektoren.

Die beiden überschneiden sich auf Lieferkettenebene. NIS-2-Einrichtungen müssen die Cybersicherheit der von ihnen verwendeten Produkte berücksichtigen; der CRA verbessert das Sicherheitsniveau dieser Produkte. Für einen Hersteller digitaler Produkte können beide gelten: der CRA für die Produkte, NIS-2 für den eigenen Betrieb.

Das KRITIS-Dachgesetz ist ein eigenständiges deutsches Gesetz, in Kraft seit dem 17. März 2026. Es setzt die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie, (EU) 2022/2557) um, die sich auf physische und betriebliche Resilienz kritischer Infrastrukturen konzentriert - als Ergänzung zum Cyberfokus von NIS-2.

Eine Einrichtung kann beiden Regimen unterliegen: NIS-2 deckt die Cyberdimension ab, das KRITIS-Dachgesetz physische Sicherheit, Business Continuity für nicht-cyberbedingte Ereignisse und Widerstandsfähigkeit gegen Naturkatastrophen und physische Angriffe. Die meisten KRITIS-Einrichtungen sind auch NIS-2-bwE.

Anfang 2026 hat die Europäische Kommission Konsultationen zu einem möglichen "Cyber Security Act 2" (CSA2) und zu Anpassungen der NIS-2 selbst eröffnet, einschließlich:

• Verfeinerung der Größenschwellen und Sektordefinitionen, um Grenzfälle zu reduzieren.
• Mögliche Erleichterungen für die kleinsten derzeit erfassten Einrichtungen.
• Harmonisierung der Meldepflichten zwischen NIS-2, DORA und DSGVO.
• Ausweitung EU-weiter Zertifizierungsschemata (Fortführung der bestehenden EUCC und EUCS).

Nichts davon ist bereits Gesetz. Realistischer Zeitrahmen für eine verbindliche Änderung: nicht vor 2027. Bis dahin gelten die in dieser FAQ beschriebenen Regeln.